Passkey

Ein Passkey ist eine Methode, sich bei einem Online-Dienst anzumelden, ohne ein Passwort einzutippen. Statt eines Worts, das man sich merken muss, speichert das eigene Handy oder der Laptop eine lange geheime Zahlenfolge. Diese Zahlenfolge verlässt das Gerät nie. Wenn du dich anmeldest, fragt der Dienst dein Gerät nach einem Nachweis, und das Gerät antwortet mit einer Rechnung, die nur mit diesem Geheimnis möglich ist. Damit du das erlaubst, musst du dich vorher am Gerät ausweisen, meist mit Fingerabdruck, Gesichtsscan oder der Bildschirmsperre. Der Dienst selbst bekommt das Geheimnis nie zu sehen.

Warum Passwörter das schwächste Glied sind

Passwörter haben zwei Grundprobleme, die sich nicht wegtrainieren lassen. Erstens muss der Anbieter etwas speichern, um das Passwort prüfen zu können. Wird sein Server gehackt, sind auf einen Schlag Millionen Zugänge in Gefahr. Zweitens kann man ein Passwort verraten, ohne es zu merken. Genau darauf zielt Phishing: eine gefälschte Anmeldeseite, die aussieht wie das Original und die Eingabe abgreift.

Ein Passkey nimmt beiden Angriffen die Grundlage. Auf dem Server des Anbieters liegt nur der öffentliche Teil des Schlüsselpaars, mit dem allein sich niemand anmelden kann. Ein Diebstahl dieser Daten ist deshalb weit weniger gefährlich. Und die Anmeldung ist fest an die Internetadresse der echten Seite gekoppelt. Auf einer nachgebauten Betrugsseite verweigert das Gerät die Freigabe schlicht, weil die Adresse nicht passt.

Hinzu kommt ein praktischer Grund. Viele Menschen verwenden dasselbe Passwort für mehrere Dienste, weil man sich nun einmal nicht dreißig verschiedene merkt. Ein einziges Leck reißt dann alle anderen Konten mit. Passkeys sind pro Dienst verschieden und werden vom Gerät verwaltet, nicht vom Gedächtnis.

Das Prinzip der zwei Schlüssel

Technisch beruht ein Passkey auf einem Schlüsselpaar aus zwei zusammengehörigen Zahlen. Der private Schlüssel bleibt geheim auf deinem Gerät. Der öffentliche Schlüssel geht bei der Einrichtung an den Anbieter und darf ruhig bekannt sein. Was mit dem privaten Schlüssel berechnet wurde, lässt sich mit dem öffentlichen prüfen. Umgekehrt funktioniert das nicht: Aus dem öffentlichen Schlüssel den privaten zu berechnen, ist praktisch unmöglich.

Der Ablauf einer Anmeldung dauert einen Wimpernschlag. Der Dienst schickt eine zufällige Zahl, eine sogenannte Challenge. Dein Gerät unterschreibt diese Zahl mit dem privaten Schlüssel und schickt die Unterschrift zurück. Der Dienst prüft sie mit dem öffentlichen Schlüssel. Weil die Zufallszahl jedes Mal neu ist, nützt einem Lauscher die abgefangene Antwort nichts.

Ein häufiges Missverständnis: Der Fingerabdruck wird nicht an den Anbieter geschickt. Er entsperrt nur lokal den Schlüssel auf deinem Gerät. Biometrie ist hier also die Türklinke, nicht der Ausweis. Deshalb funktioniert stattdessen auch die normale Geräte-PIN.

Passkeys auf Handy, Laptop und im Alltag

Große Anbieter haben Passkeys längst eingebaut. Google, Apple, Microsoft, Amazon, PayPal und WhatsApp unterstützen sie, ebenso viele Online-Shops. Auf dem iPhone landen sie im iCloud-Schlüsselbund, auf Android im Google-Passwortmanager, dazu bieten Programme wie 1Password oder Bitwarden eigene Speicher an. Über diese Konten werden Passkeys zwischen deinen Geräten synchronisiert.

In der Praxis erkennst du einen Passkey daran, dass nach der Eingabe der E-Mail-Adresse kein Passwortfeld mehr kommt. Stattdessen erscheint ein Fenster, das nach Fingerabdruck oder PIN fragt. Willst du dich an einem fremden Computer anmelden, zeigt die Seite oft einen QR-Code. Du scannst ihn mit deinem Handy, das den Schlüssel besitzt, und bist drin.

Offen bleibt die Frage, was bei Geräteverlust passiert. Deshalb sollte man immer einen zweiten Weg einrichten, etwa einen Passkey auf einem weiteren Gerät oder Wiederherstellungscodes. Sicherheitsbehörden wie das BSI empfehlen Passkeys inzwischen ausdrücklich. In Wirtschaftsnachrichten tauchen sie meist im Zusammenhang mit Banken, Online-Betrug oder neuen EU-Regeln zur digitalen Identität auf.